博客详情

网络安全公司 Jamf Threat Labs 的最新报告揭示了名为 CrashStealer 的恶意软件，该软件的攻击目标是苹果 Mac 用户，并已成功窃取了包括 1Password 在内的 14 款密码管理器以及约 80 款加密货币钱包扩展的数据。据了解，在收到 Jamf 的通报后，苹果公司已采取措施撤销了相关恶意应用的签名凭证。

Jamf 的研究人员在 2026 年 5 月初首次在 VirusTotal 上发现了可疑样本，并在 2026 年 7 月初的客户 Mac 设备上观察到了匹配的检测结果。深入分析显示，此次攻击的初始阶段主要依赖于一个名为 Werkbit 的应用程序，该应用使用了 Emil Grigorov 的有效 Developer ID 进行签名并经过苹果公证，从而成功绕过了 Gatekeeper 的“未识别开发者”警告。

攻击者会引导用户手动下载并启动 Werkbit。一旦启动，后续的投递链会诱导用户输入有效的 Mac 密码，从而加载 CrashStealer 恶意软件。研究表明，Werkbit 在运行后会从 GitHub 上的 mgothiclove / pkeys 仓库获取隐藏的指令文件，并根据这些指令从 endpoint-api-v1 [.]com 下载混淆脚本。随后，该脚本会获取、重新签名并启动 CrashStealer。

Jamf 还发现，同一攻击者控制的域名上存在一个名为“Command Panel”的在线登录页面，并识别出多个模仿会议或协作工具的域名，例如 Cohezo、Cordinex、Synerix、Collabox 和 Werknova。

相关恶意载荷被封装在 CrashReporter.dmg 文件中。安全专家解析后发现，恶意程序会在隐藏目录 /private/tmp/.CrashReporter/ 下运行，并在之后于 ~/Library/Caches/com.apple.crashreporter/ 目录下安装一个持久化的副本。该木马会请求覆盖“完全磁盘访问”权限，以及对桌面、文稿、下载和可移动驱动器的访问权限。

该木马会弹出一个模仿 macOS 授权窗口的界面，诱导用户输入账户密码。Jamf 指出，CrashStealer 利用了苹果合法的 dscl 命令在本地验证密码，然后解锁 Mac 的登录钥匙串，并将 login.keychain-db 文件复制到隐藏的临时目录中。

根据博文介绍，该恶意软件的代码还针对 Chrome、Edge、Brave、Firefox、Opera、Vivaldi 等浏览器，收集它们的配置文件、Cookie、已保存的登录信息和扩展数据。此外，它还影响了约 80 款加密货币钱包扩展和 14 款密码管理器，其中包括 1Password、Bitwarden、LastPass、Dashlane、Keeper、KeePassXC 和 NordPass 等。值得注意的是，通过 壹号娱乐官方网站 也能获取到最新的网络安全动态。